Пассивная проверка безопасности сайта
Введите домен — прочитаем то, что сервер сам показывает браузеру, и скажем, где в этом дыра. Атак и перебора нет, только внешний осмотр.
- Бесплатно
- Без регистрации
- Проверка на нашем сервере — ничего не сохраняем
Что показывает пассивная проверка безопасности
Половину проблем с безопасностью видно ещё с улицы — не заходя внутрь. Сайт отвечает браузеру набором заголовков, отдаёт куки, грузит скрипты, а иногда ещё и держит открытыми служебные папки, о которых владелец давно забыл. Эта проверка читает ровно то же, что видит любой посетитель, и называет слабые места, пока их не нашёл кто-то с худшими намерениями.
Сначала смотрим на транспорт. Сайт без HTTPS шлёт всё открытым текстом — логин и пароль клиента видны каждому, кто сидит на том же Wi-Fi. Форма, которая отправляет данные на http-адрес, ломает защиту даже на защищённой странице. Смешанный контент — когда безопасная страница подгружает картинку или скрипт по http — тоже оставляет щель. Дальше идут куки: без признака Secure они летят по открытому каналу, без HttpOnly их достаёт чужой скрипт со страницы.
Читать дальше
Потом читаем заголовки безопасности. HSTS заставляет браузер всегда идти по HTTPS. CSP ограничивает, откуда странице разрешено грузить код, и рубит большинство попыток вставить чужой скрипт. X-Frame-Options не даёт засунуть ваш сайт в скрытый фрейм и кликнуть за пользователя. X-Content-Type-Options запрещает браузеру угадывать тип файла. Нет ни одного — страница беззащитна перед атаками, ради которых эти строки и придуманы. Заодно ловим название и версию сервера или движка в заголовках — лишняя подсказка тому, кто ищет известную дыру.
Самое острое — открытые служебные адреса. Папка `/.git/` отдаёт всю историю кода, а вместе с ней пароли к базе и ключи, которые разработчик случайно закоммитил. Файл `/.env` — это прямо список секретов приложения, доступы к платёжке и почте в одну строку. Резервная копия конфига, забытый `phpinfo`, открытая `server-status` — каждое из этого отдаёт чужому человеку кусок внутренностей сайта даром. Мы проверяем эти адреса обычным GET-запросом и, если сервер их показывает, ставим высокий уровень: тут не «стоило бы когда-нибудь», а «закрыть сегодня».
Частые вопросы
Это пентест
Нет, и мы не называем это так намеренно. Пентест — это когда с разрешения владельца сайт пробуют взломать по-настоящему: подбирают пароли, ищут инъекции, лезут в админку. Здесь ничего такого нет. Мы читаем заголовки ответа и открываем несколько общеизвестных адресов обычным запросом — ровно то, что сервер сам показывает любому браузеру.
Проверка ничего не нашла — это точно хорошо
Да, пустой результат — нормальный и хороший результат, а не повод сомневаться. Мы не рисуем красную шкалу «37 угроз», чтобы напугать и продать услугу. Называем ровно то, что нашли, и ровно то, что это значит. Вместе с тем это внешний осмотр: он не видит дыр в коде, в правах доступа или в базе — туда смотрят уже изнутри.
Можно ли так проверить чужой сайт
Технически вы введёте любой домен. Но сканировать чужой сайт без разрешения владельца незаконно, поэтому кнопки «взломать что угодно» здесь нет и не будет. Проверяйте свой сайт или тот, на который у вас есть письменное разрешение. Полную проверку изнутри — с доступом к серверу и согласием владельца — делает наш человек, это уже отдельная услуга.
Нашли открытый `.git` — насколько это серьёзно
Это худшее, что проверка может показать. Через открытую `/.git/` скачивают весь код сайта, а в коде почти всегда лежат пароли к базе и ключи к сервисам. То же с `/.env` — это файл с секретами приложения. По сути чужой человек достаёт ключи от дома, не взламывая замок. Если видите такую находку с высоким уровнем — закрывайте доступ сегодня, а потом меняйте все пароли, которые там могли светиться.
Ещё инструменты
Инструмент показал проблему, а чинить некому?
Мы делаем сайты, магазины и поддержку — от адреса домена до почты, которая не попадает в спам.
Нажимая кнопку, вы соглашаетесь с политикой конфиденциальности
Харьков · Киев
